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© System zur Steuerung eines Kraftfahrzeugs, mit einer 
ersten Einrichtung zur Bestimmung von zur Steuerung 
des Kraftfahrzeuges bendtigter Steuerdaten, mit einer 
zweiten Einrichtung zur Uberwachung der ersten Einrich- 
tung, wobei die erste Einrichtung ausgehend von ersten 
Daten zweite Daten gemaB einer Pruffunktion ermittelt 
und die zweite Einrichtung ausgehend von den ersten Da- 
ten dritte Daten gemaS der Pruffunktion ermittelt, wobei 
die erste und/oder die zweite Einrichtung abhangig von 
dem Vergleich zwischen den zweiten Daten und den drit- 
ten Daten einen Fehlerzustand erkennt, dadurch gekenn- 
zeichnet, dafl die ersten Daten durch den Wert eines Za ti- 
lers in der ersten oder in derzwerten Einrichtung definiert 
werden. 
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Beschreibung 

Stand der Technik 

Die Erfindung belriftt ein System zur Steuerung eines 5 
Kraftfabrzeuges gemaB dem Oberbegriff des Anspruchs 1. 

Ein solches System zur Steuerung eines Kraftfahrzeuges 
ist aus der EP-A-0 322 141 bekannt Dieses System umfaBt 
eine erste Einrichtung zur Bestimmung von Steuerdaten ei- 
nes Kraflfahrzcugs sowie eine zweite Einrichtung zu Uber- 10 
wachung der ersten Einrichtung, sowohl die erste als auch 
die zweite Einrichtung addieren zu einem Ausgangswert 
eine Primzahl. Die Ergebnisse der beiden Einrichtungen 
werden verglichen. Bei einer unzulassigen Abweichung er- 
kennt die Uberwachungseinrichtung auf Fchler. Die Ergeb- 
nisse dienen jeweils als neuer Ausgangswert fur den folgen- 
den Prufzyklus. 

Ein System zur Steuerung eines Kraftfahrzeugs ist aus der 
DE-OS-35 31 198 bekannt Dort wird ein System zur Steue- 
rung einer Dieselbrennkraftmaschine beschrieben. Dieses 
System umfaBt einen Hauprechner und einen Ersatzrechner. 
Erkennt eine Uberwachungseinrichtung einen Defekt im 
Hauptrechner, so wird auf den Ersatzrechner umgeschaltet 
Desweiteren sind Systeme bekannt, bei denen ein erster 
Mikrorechner Steuerdaten, die zur Steuerung des Kraftfahr- 
zeuges benotigt werden, bestimmt Eine Uberwachungsein- 
richtung uberpruft, ob der erste Mikrorechner korrekt arbei- 
tet Diese Uberwachungseinrichtung kann entweder als Mi- 
krorechner oder in der einfachsten Form als festverdrahteter 
Baustein ausgefuhrt sein. Erkennt die Uberwachungsein- 
richtung einen sicherheitskritischen Betriebszustand, so ver- 
setzt die sicherheitsrelevante AusgangsgroBe iiber ein ent- 
sprechendes Sicherheitssignal in einen sicheren Zustand. 
Dies bedeutet, daB zum Beispiel die KraftstofTeinspritzung 
unlerbunden und/oder die Drosselklappe geschlossen wird. 

Eine solche Uberwachungseinrichtung ist zum Beispiel 
aus der DE-OS-32 40 707 bekannt. Die dort beschriebende 
Tjbewachungseinrichtung beaufschlagt in regelmaBigen 
Zeitabstanden das Steuergerat mit einem sogenannten Trig- 
gersignal. Ist der Abstand zwischen zwei Triggerimpulsen 
groBer oder kleiner, als eine in der Uberwachungseinrich- 
tung abgelegte Zeitdauer, so erkennt die Uberwachungsein- 
richtung auf Fehler und leitet entsprechende MaBnahmen 
ein. Mit einem solchen Uberwachungskonzept kann im we- 
sentlichen nur ein Totalausfall des Rechners erkannt wer- 
den. Eine fehlerhafte Signalverarbeitung erkennt eine solche 
Watchdog nicht. 

Aufgabe der Erfindung 

Der Erfindung liegt die Aufgabe zugrunde, bei einem Sy- 
stem zur Uberwachung der Steuerung eines Kraftfahrzeuges 
der eingangs genannten Art ein System zur Verfugung zu 
stellen, das einfacher aufgebaut als ein System mit zwei 
Rechnern und gleichzeitig mehr Fehler erfaBt, als ein Sy- 
stem mit Watchdog. 

Vorteile der Erfindung 

Das beschriebene System zur Uberwachung einer Steuer- 
einrichtung eines Kraftfahrzeugs besitzt den Vorteil, daB es 
bei einfachem Aufbau ein hohes MaB an Sicherheit gewahr- 
leistet. 

Vorteilhafte und zweckmaBige Ausgestaltungen und Wei- 
terbildungen der Erfindung sind in den Unteranspriichen ge- 
kennzeichneL 
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Zeichnung 

Die Erfindung wird nachstehend anhand der in der Zeich- 
nung dargestellten Ausfuhrungsformen erlautert 

So zcigt die Fig. 1 ein grobes Blockdiagramm des erfin- 
dungsgemaBen Systems, die Fig. 2 eine detailliertere Dar- 
stellung des Uberwachungssystems, die Fig. 3 eine Ergan- 
zung des Systems gemaB Fig. 2, die Fig. 4 und 5 ein FluB- 
diagramm zur Verdeutlichung der erfindungsgemaBen Vor- 
gehensweisc, Fig. 6 verschiedene Mogiichkeiten der Kopp- 
lung der Uberwachungseinrichtung und des Mikrorechners, 
Fig. 7 ein grobe schematische Darstellung der wesentlichen 
Elemente, Fig. 8 die wesentlichen Elemente einer weiteren 
Ausfuhrungsform sowie die Fig. 9 ein detailliertes Dia- 
15 gramm einer weiteren Ausfuhrungsform. 

Beschreibung der Ausfuhrungsbeispiele 

Dem erfindungsgemaBen System liegt der Grundgedanke 
20 zugrunde, daB ein Mikrorechner und eine "Qberwachungs- 
einrichtung beide in regelmaBigen Zeitabstanden eine Si- 
gnalverarbeitung durchfuhren, wobei die Uberwachungs- 
einrichtung und/oder der Mikrorechner die beiden Ergeb- 
nisse vergleichen und ausgehend von diesem Vergleich, auf 
25 das korrekte oder fehlerhafte Arbeiten des Mikrorechners 
schlieBen. 

Die durchgefuhrte Berechnung ist vorzugsweise sehr ein- 
fach gestalteL Es wird also nicht wie bei Parallelrechnersy- 
stemen der Mikrorechner doppelt ausgelegt und von der 
30 Uberwachungseinrichtung die gleiche Berechnung wie vom 
Mikrorechner ausgefuhrt Sondem es wird so vorgegangen, 
daB sowohl der Mikrorechner als auch die Uberwachungs- 
einrichtung ausgehend von denselben Daten gemaB einer 
vorgegebenen Pruffunkuon jeweils Ergebnisdaten berech- 
35 ncn. 

Diese Ergebnisdaten werden dann verglichen und auf- 
grund von diesem Vergleich ein Fehler erkannt Die zur Be- 
rechnung der Ergebnisdaten verwendete Pruffunktion ist in 
der Regel sehr einfach gestaltet, sie erfordert nur eine sehr 
40 geringe Rechenzeit 

F^. 1 zeigt ein grobes Blockdiagramm des erfindungsge- 
maBen Systems. Mit 1 ist ein Mikrorechner, der auch als er- 
ste Einrichtung bezeichnet wird, dargestellt Mit 2 ist eine 
zweite Einrichtung, auch als Uberwachungseinrichtung be- 
45 zeichnet, gekennzeichnet Der Mikrorechner 1 und die 
Uberwachungseinrichtung 2 sind untereinander mit einer 
Datenleitung 5 verbunden. Des weiteren stent der Mikro- 
rechner mit einer Eingangsdatenleitung 6 in Verbindung. 
Von dieser Eingangsdatenleitung 6 zweigt eine zweite Ein- 
SO gangsdatenleitung 65 ab, die zur Uberwachungseinrichtung 
2fuhrt 

Sowohl der Mikrorechner 1 als auch die Uberwachungs- 
einrichtung 2 sind jeweils mit einer unabhangigen Zeitbasis 
3 bzw. 4 verbunden. Der Mikrorechner gibt uber die Ansteu- 
55 erleitung 9 ein Signal an eine Verknupfungseinrichtung 98 
ab. Der zweite Eingang der Verknupfungseinrichtung 98 
wird iiber eine Sicherheitsleitung 8 mit einem Sicherheitssi- 
gnal beaufschlagt. tJber die Ausgangsleitung 7 wird dann 
ein Stellwerk 94 mit einer AusgangsgroBe beaufschlagt 
60 Bei einer besonders vorteilhaften Ausgestaltung der Er- 
findung stehen sowohl der Mikrorechner 1 als auch die 
Uberwachungseinrichtung 2 mit einer weiteren Verknup- 
fungseinrichtung 99 in Verbundung. Diese zweite Verknup- 
fungseinrichtung gibt uber eine Notleitung 92 ein Signal zur 
65 Ansteuerung einer Notvorrichtung 93 ab. Vorzugsweise un- 
terbricht diese Notvorrichtung die Kraftstoffzufuhr. 

Das Stellwerk zur Beeinflussung der Leistungsabgabe der 
Brennkraftmaschine wird ublicherweise von dem Mikro- 
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rechner 1 rait Signalen beaufschlagt, die eine entsprechende 
Verstellung des Stellwerks bewirken. Die zweite Einrich- 
tung uberwacht den Mikrorechner auf seine korrekte Funk- 
tion. 

Ober die Dalcnleitung 5 tauschen dcr Mikrorechner 1 und 5 
die Oberwachungseinrichtung 2 Informationen aus. Vor- 
zugsweise sind dies impulsformig kodierte Daten in serieller 
oder parelleler Form. Die Obertragung kann entweder nur in 
einer Richtung vorzugsweise vom Mikrorechner zur Uber- 
wachungseinrichtung oder in bcidc Richtungcn crfolgcn. to 

Der Mikrorechner berechnet ausgehend von den iiber die 
Eingangsdatenleitung 6 zugefuhrten Daten beziiglich ver- 
schiedener Betriebszustande AusgangsgroBen zur Steue- 
rung des Stellwerks der Brennkraftmaschine. Bei besonders 
sichcrhcilsrclcvantcn AusgangsgroBen muB die richlige 15 
Funktionsweise des Mikrorechners 1 durch die Uberwa- 
chungseinrichtung 2 iiberpruft werden. Solche sicherheitsre- 
levanten AusgangsgroBen bzw. Stellwerke, sind zum Bei- 
spiel die Kraftstofrzumessung, insbesondere bei Diesel- 
brennkraftmaschinen, die Drosselklappenstellung bei 20 
fremdgezundeten Brennkraftmaschinen, Eingriffe auf die 
Lenkung, die B rem sen sowie alle GroBen, die das Fahrver- 
halten der Brennkraftmaschine beeinflussen. 

Erkennt die Uberwachungseinrichtung einen sicherheits- 
kritischen Bclriebszustand, so erzeugt sic ein Sichcrhcitssi- 25 
gnal, das iiber die Sicherheitsleitung 8 an die Verknupfungs- 
einrichtung 98 geleitet wird. Die Verknupfungseinrichtung 
98 leitet dann NotfahrmaBnahmen ein. Diese sehen vor, daB 
bei Vorliegen eines sicherheitskritischen Zustandes, die 
AusgangsgroBe zur Ansteuerung des Stellwerks in einen 30 
solchen Wertebereich liegt, daB keine gefahrlichen Betriebs- 
kenngroBen auftreten. So kann zum Beispiel bei der Steue- 
rung der Kraftstoffzufuhr vorgesehen werden, daB die ein- 
zuspritzende Kraftstoffmenge auf einen maximal zulassigen 
Hochstwert begrenzt wird. 35 

In Fig. 2 ist eine Realisierung der Uberwachungseinrich- 
tung detaillierter ausgefuhrt. Elemente, die schon in Fig. 1 
enthalten sind, werden mit entsprechenden Bezugszeichen 
bezeichnet. Ober eine Lesesteuerleitung 52 ist der Mikro- 
rechner 1 mit einem ersten Zwischenspeicher 11 und einer 40 
Zeitablaufsteuerung 16 der Oberwachungseinrichtung 2 
verbunden. 

Ober eine erste Datenleitung 51 gelangen die Daten des 
Zwischenspeichers 11 zum Mikrorechner 1. Die Daten des 
ersten Zwischenspeichers werden aus einem freilaufenden 45 
Zahler 10 ausgelesen, der mit der Zeitbasis 4 verbunden ist. 
Des weiteren ist der Zahler 10 mit der Zeitablaufsteuerung 
16 verbunden. Der erste Zwischenspeicher 11 steht femer 
iiber einen Inverter 14 mit einem zweiten Zwischenspeicher 
132 in Verbindung. Ober eine Schreibsteuerleitung 53 ist der 50 
Mikrorechner mit dem zweiten Zwischenspeicher 132, ei- 
nem dritten Zwischenspeicher 131 sowie mit der Zeitablauf- 
steuerung 16 verbunden. "Ober eine zweite Datenleitung 54 
beaufschlagt der Mikrorechner den dritten Zwischenspei- 
cher 131 mit Daten. 55 

Ein Vergleicher 15 ist mit dem zweiten Zwischenspeicher 
132 und dem dritten Zwischenspeicher 131 verbunden. Die 
Ausgange des Vergleichers 15 und der Zeitablaufsteuerung 
16 beaufschlagen eine Verknupfungseinrichtung 17 mit Si- 
gnalen. Deren Ausgangssignal stellt das Sicherheitssignal 60 
bereit, mit dem dann die Verknupfungseinrichtung 98 zur 
Bildung der AusgangsgroBe zur Ansteuerung des Stellwerks 
beaufschlagt wird. 

Die Funktionsweise dieser Uberwachungseinrichtung ist 
nun wie foigt Der Mikrorechner gibt iiber die Lesesteuerlei- 65 
tung 52 einen Lesebefehl an den ersten Zwischenspeicher 
11. Daraufhin wird iiber die Datenleitung 51 der Inhalt des 
Zwischenspeichers U in den Mikrorechner eingelesen. Der 
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Inhalt des ersten Zwischenspeichers 11 entspricht dem In- 
halt des freilaufenden Zahlers 10. Dieser Zahler 10 zahlt die 
von der Zeitbasis 4 abgegebenen Impulse. Der Mikrorech- 
ner invertiert die aus dem ersten Zwischenspeicher 11 aus- 
gclcscncn Daten. Dies bedcutet er berechnet den inversen 
Wert. Bei digitalen Signalen bedeutet dies, daB alle logi- 
schen Werte invertiert werden. 

Ober die Schreibsteuerleitung 53 wird der dritte Zwi- 
schenspeicher 131 dahingehend aktiviert, daB der Mikro- 
rechner in den dritten Zwischenspeicher 131 den vom 
Hauptrechner invertierten Zahlerstand einliest Der vom Mi- 
krorechner gelesene Zahlerstand wird beim Lesevorgang in 
den ersten Zwischenspeicher 11 abgelegt, wahrend des 
Schreibvorgangs wird der Speicherinhalt im Inverter 14 in 
seine inverse Form ubcrgcfuhrt und im zweiten Zwischen- 
speicher 132 abgelegt. 

Im zweiten Zwischenspeicher 132 steht also der in der 
Oberwachungseinrichtung direkt invertierte Wert. In dem 
dritten Zwischenspeicher 103 steht der von dem Mikrorech- 
ner invertierte Wert. Diese beiden Werte werden in dem Ver- 
gleicher 15 vergiichen. Stimmen die beiden Werte nicht 
iiberein, so werden NotfahrmaBnahmen eingeleitet. Hierzu 
nimmt das Sicherheitssignal einen solchen Wert an, daB das 
sicherheitsreievante Ausgangssignal in den sicheren Be- 
triebszustand versetzt wird. Vorzugsweise wird die Brenn- 
kraftmaschine ausgeschaltet. 

Die Zeitablaufsteuerung 16 greift iiber eine weitere Ver- 
knupfungseinrichtung 17 in das Sicherheitssignal ein. Die 
Zeitablaufsteuerung 16 uberwacht, ob das Lesesteuersignal 
periodisch angelegt wird und ob zwischen dem Anlegen des 
Lesesteuersignals und dem nachfolgenden Schreibsteuersi- 
gnal eine bestimmte Maximalzeit nicht iiberschritten wird. 
Ist dies der Fall, so wird ebenfalls ein entsprechendes Signal 
abgegeben. 

Besonders vorteilhaft konnen bei dem Ausfuhrungsbei- 
spiei auch die Funktionen der Oberwachungseinrichtung 
und des Mikrorechners vertauscht werden. Dies bedeutet 
zum Beispiel, daB der Zahler sich in dem Mikrorechner be- 
findet und die Uberwachungseinrichtung den Zahlerstand 
vom Mikrorechner ubernimmL Ferner kann auch der Ver- 
gleicher 15 im Mikrorechner enthalten sein. Wesentlich ist 
nur, daB sowohl der Mikrorechner als auch die Oberwa- 
chungseinrichtung die gleichen Daten verarbeiten (invertie- 
ren) und der Mikrorechner und/oder die Oberwachungsein- 
richtung die beiden Ergebnisse vergleichL Weichen die bei- 
den Ergebnisse voneinander ab und/oder steht das Ergebnis 
nicht innerhalb einer vorgegebenen Zeitspanne bereit, so 
wird auf einen fehlerhaften Betriebszustand erkannt 

Mit einer weiteren Ausgestaltung des Ausfuhrungsbei- 
spiels ist es moglich, auch die Oberwachungseinrichtung 
auf Fehlfunktion zu uberpriifen. Dabei wird wie folgt vorge- 
gangen. Der Mikrorechner gibt gelegentlich ein falsches Er- 
gebnis aus bzw. er uberschreitet die vorgegebene Zeit- 
grenze. Dies hat zur Folge, daB die Oberwachungseinrich- 
tung einen Fehler erkennt Die Fehlermeldung der Oberwa- 
chungseinrichtung wird iiber die Datenleitung 5 zum Haupt- 
rechner ubertragen. Der Mikrorechner uberprufi, ob die 
Fehlermeldung auftritt. Damit innerhalb des Gesamtsystems 
keine ungewollte Beeinflussung der AusgangsgroBen er- 
folgt, wird das Sicherheitssignal erst nach einer zusatzlichen 
Verzogerungszeit wirksam, wenn der Mikrorechner das Er- 
gebnis nicht innerhalb der Verzogerungszeit korrigiert. 

Hierzu ist erforderlich, daB die Einrichtung gemaB der 
Fig. 2 um die Einrichtung gemaB der Fig. 3 erganzt wird. 
Das Ausgangssignal der Verknupfungseinrichtung 17 wird 
zum einen einem Verzogerungsglied 18, einem logischen 
Element 20 und dem Mikrorechner 1 zugeleiteL Das logi- 
sche Element verkniipft das Ausgangssignal des Verzoge- 
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rungsglieds 18 und das Ausgangssignal der Verkniipfungs- 
einnchtung 17. Dadurch, dafi das Sicherheitssignal zum Mi- 
krorechner zuruckgefuhrt wild, hat dieser die Moglichkeit, 
zu kontrollieren, ob die Uberwachungseinrichtung konekt 
arbeiteL Gibt der Mikrorechner bewuBt ein fehlerhaftes Si- 
gnal uber die Datenverbindung 54 ab, so muB das Sicher- 
heitssignal einen Fehlerzustand signalisieren. Das Verzoge- 
rungsglied 18 stellt sicher, daB am zweiten Eingang des lo- 
gischen Elements 20 erst nach einer bestimmten Verzoge- 
rungszeit ein Fehlcrsignal anliegt. Am Ausgang des logi- 
schen Elements liegt erst dann ein Sicherheitssignal an, 
wenn das Ausgangssignal der Verknupfungseinrichtung 17 
langere Zeit einen Fehler anzeigL Dadurch wird bewirkt, 
daB ein kurzzeitiges Ansprechen der Uberwachungseinrich- 
tung nicht zu einer Fehlermeldung und damit zu einer Re- 
duktion der Leistung der Brennkraftmaschine fuhrt. Erst 
wenn das Signal langere Zeit anliegt und sicher davon aus- 
gegangen werden kann, daB der Mikrorechner nicht bewuBt 
ein fehlerhaftes Signal abgegeben hat, wird ein entsprechen- 
des Sicherheitssignal abgegeben. 

In Fig. 4 ist die erfindungsgemaBe Vorgehensweise an- 
hand eines FluBdiagrammes verdeutlichL In Schritt 400 
wird ein zweiter Zeitzahler T2 und im Schritt 405 ein erster 
Zeitzahler Tl auf Null gesetzt In Schritt 410 erfolgt eine Er- 
hohung des ersten Zeitzahlers Tl. Erkennt die Abfrage 420 
daB eine vorgegebene ZeitschweUe TS noch nicht iiber- 
schritten wird, so wird der Schritt 410 wiederholt. Dies ge- 
schieht solange, bis der Zeitzahler den Schwellwert uber- 
schreitet. Ist eine vorgegebene ZeitschweUe uberschritten, 
so liest der Mikrorechner im Schritt 430 aus dem Zahler 10 
der Uberwachungseinrichtung den aktuellen Zahlerstand Z 
aus. 

Im abschlieBenden Schritt 440 bildet der Mikrorechner 
und die Uberwachungseinrichtung 2 die invertierten Werte 
Zi und Z 2 . Bei einem digitalen Signal sieht eine einfache 
Realisierung vor, daB die Nullen durch Hnsen und die Ein- 
sen durch Nullen ersetzt werden. Diese Invertierung findet 
in dem Mikrorechner und der Oberwachungseinrichtung 
gleichzeitig state Im Schritt 450 iiberpruft der Vergleicher 
15, ob die beiden invertierten Werte ubereinstimmen. 

AnsteUe eines Vergleichs kann auch lediglich ein Wert im 
Mikrorechner invertiert werden. Werden dann anschlieBend 
der invertierte und der ursprungliche Wert addiert, so muB 
sich em Additionsergebnis ergeben, das nur Einsen enthaU 
Erkennt die Abfrage 450, daB die Werte gleich sind, so star- 
tet mit dem Schritt 405 ein neuer Programmdurchlauf in 
dem der erste Zeitzahler Tl wieder zuruckeesetzt wird Er- 
kennt die Abfrage 450 dagegen, daB dieVerte ungleich 
sind, so bedeutet dies, daB der Mikrorechner fehlerhaft ar- 
beiteL Im einfachsten Fall wird daher im Schritt 480 ein 
Fehlersignal ausgegeben. Dies ist gestrichelt dargesteUt 

Eine vorteilhafte Weiterbildung sieht vor, daB im Schritt 
460 der zweite Zeitzahler erhoht wird Erst wenn die zweite 
Abfrageemheit 470 erkennt, daB der zweite Zeitzahler T2 
groBer als ein Schwellwert S ist, wird ein Fehler ausgege- 
ben. Ist dieser Schwellwert noch nicht erreicht, so setzt das 
Programm mit dem Schritt 410 in dem der erste Zeitzahler 
erhoht wird, fort. Durch diese Vorgehensweise wird gewahr- 
leistet, daB nur dann auf Fehler erkannt wird, wenn die Ab- 
frageeinheit 450 mehrmals eine Unplausibilitat der Signale 
erkennt. Hierdurch konnen einmalig auftretende Fehler un- 
terbunden werden. 

Eine weitere Ausgestaltung sieht folgende Vorgehens- 
weise vor. Die Uberwachungseinrichtung 2 gibt zu einem 
vorgegebenen Zeitpunkt Daten in Form eines Priifwerts an 
den Mikrorechner 1 ab. Der Mikrorechner bearbeitet diesen 
Prufwert entsprechend wenigstens einer vorgegebenen Priif- 
funktion. ParaUel hierzu bearbeitet die Oberwachungsein- 



richtung den Prufwert mit einer entsprechenden Priifrunk- 
tion. Die Uberwachungseinrichtung gibt einen Zeitbereich 
zwischen TMIN und TMAX vor, innerhalb von dem der Mi- 
krorechner der Uberwachungseinrichtung ein Ergebnis 
5 ubcrmittcln muB. Trift innerhalb dieser vorgegebenen Zeit- 
grenzen das Ergebnis nicht oder falsch ein, so erkennt die 
Uberwachungseinrichtung auf Fehler. 

Empfangt die Oberwachungseinrichtung das Ergebnis 
vom Mikrorechner, so gibt sie wieder ein neuen Prufwert an 
10 den Mikrorechner ab. Besonders vorteilhaft werden die 
Prufwerte durch eine Zufallsauswahl ermittelt. Hierzu zahlt 
ein unabhangiger Zahler laufend von Null bis zu einem End- 
wert bzw. von einem Endwert auf Null. Zu vorgegebenen 
Zeitpunkten wird der Zahlerstand des freilaufenden Zahlers 
15 ausgelesen und als Prufwert verwendet. Solche bevorzugten 
Zeitpunkte sind gegeben, wenn die Uberwachungseinrich- 
tung Daten vom Mikrorechner ubermittelt bekommt oder 
wenn die Uberwachungseinrichtung die korrekte Funktion 
des Mikrorechners erkannt hat 
20 Besonders vorteilhaft wird fur den Zahler ein 4-Bit Zahler 
mit einer Frequenz von einem MHz gewahlt. So konnen 16 
unterschiedliche Prufwerte vorgegeben werden. Erhalt die 
Uberwachungseinrichtung den Ergebniswert ubermittelt, so 
wird der Zahlerstand ausgelesen und als neuer Prufwert an 
25 den Mikrorechner ubergeben. Ein neuer Prufwert wird im- 
mer dann gebildet, wenn die Uberwachungseinrichtung den 
Ergebniswert ubermittelt bekommt oder wenn die Uberwa- 
chungseinrichtung das korrekte Arbeiten des Mikrorechners 
erkannt hat. Die Zufallsauswahl der Prufwerte erfolgt da- 
30 durch, daB der jeweilige Zahlerstand bei einem definierten 
Zeitpunkt als neuer Prufwert verwendet wird. Der neue 
Prufwert hangt vom Auftreten des alten Ergebniswerts ab. 
Der definierte Zeitpunkt liegt vorzugsweise zwischen dem 
Einlesen des Ergebniswerts oder dem Erkennen der korrek- 
35 ten Funktion des Mikrorechners. 

Zur Verdeutlichung dieses Verfahrens sei noch auf das 
FluBdiagramm Fig. 5a verwiesen. In der linken Halfte ist der 
Ablauf des Programms in der Uberwachungseinrichtung 
und in der rechten Halfte das Programm in dem Mikrorech- 
40 ner aufgezeigt. Im Schritt 500 startet das Programm in der 
Uberwachungseinrichtung damit, daB der Zahlerstand eines 
Zahlers ausgelesen wird. Dieser Zahlerstand wird als Pruf- 
wert X verwendet 

Im Schritt 505 wird der Prufwert an den Mikrorechner 
45 ubergeben. AnschlieBend gibt die Oberwachungseinrich- 
tung im Schritt 510 eine untere Zeitschranke TMIN und eine 
obere Zeitschranke TMAX vor. Im Schritt 515 wird aus ei- 
nem Prufwert X gemaB der PriifTunktion F ein Ergebniswert 
Y berechnet. Im Schritt 535 erhalt der Mikrorechner den 
50 Prufwert X ubermittelt. Im Laufe des ublichen Programm- 
ablaufs zur Berechnung der Steuerdaten sind einzelne Be- 
rechnungschritte eingefugt, in denen der Ergebniswert Yl 
gemaB der Hgur F ausgehend von dem Prufwert X berech- 
net wird. Diese Berechnungen sind in dem Schritt 540 zu- 
55 sammengefaBt. 

Besonders vorteilhaft ist es, wenn jedem Funktionsblock 
des Mikrorechners eine Pruffunktion zugeordnet ist Im 
Schritt 545 wird das Ergebnis Yl der Uberwachungseinrich- 
tung ubergeben. Diese erfaBt den Wert im Schritt 520. Der 
60 Abfrageblock 525 uberpriift, ob das von der Oberwachungs- 
einrichtung vorgegebene Ergebnis Y mit dem von dem Mi- 
krorechner bestimmten Ergebnis Yl ubereinstimmt. Ist dies 
nicht der Fall, so erkennt der Block 550 auf Fehler Ist das 
Ergebnis korrekt, so iiberpruft die Zeitabfrage 530, ob das 
65 Ergebnis in dem vordefinierten Zeitintervall zwischen 
TMIN und TMAX eingegangen ist Trifft dies ebenfalls zu, 
so wird in Schritt 500 ein neuer Zahlerstand als Prufwert 
ausgelesen. 
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Aucb hier kann vorgesehen werden, daB der Mikrorech- 
ner in vorgegebenen Zeitabstanden falsche Ergebniswerte 
an die Oberwachungseinrichtung abgibt um deren Funkti- 
onsfahigkeit zu uberwachen. 

Die Priiff unklion wird wohl wiihrcnd dcs iiblichcn Steucr- 5 
programms abgearbeitet. Die Priiffunktion wird aber nicht 
zur Berechnung der Steuerdaten benotigt. Die Berechnung 
der Priiffunktion ist so auf die einzelnen Komponenten des 
Mikrorechners und seiner peripheren Baugruppen aufge- 
tcilt, daB auch exlcrne Bautcilc wie Speicher und der Daten- 10 
und Adressbus uberpruft werden konnen. 

Um eine besonders aussagekraftige Oberwachung durch- 
fuhren zu konnen, wird folgendes Verfahren angewandt. Be- 
trachtet man die Menge der sicherheitsrelevanten Funktion, 
die durch die Oberwachungseinrichtung uberwacht werden 15 
sollen, so kann der zeitliche Funktionsablauf als gerichteter 
zyklenfreier Graph dargestellt werden. Ein Beispiel fur ei- 
nen solchen Graph ist in Fig. 5b dargestellt. Am Startknoten 
S des Graphen wird der Priifwert der Oberwachungseinrich- 
tung eingespcist, am Zielknotcn Z soli das Ergebnis an die 20 
Oberwachungseinrichtung geliefert werden. 

Jeder Knoten hat eine Menge von Kan ten, die zu ihm hin- 
fiihren, jede dieser Kanten liefert eine EingangsgroBe. Der 
Knoten berechnet ausgehend von der EingangsgroBen ge- 
maB einer Funktion Fl, F2, . . . F6 die AusgangsgroBe, der 25 
an alle, direkt erreichbaren Knoten weitergeleitet wird. Der 
Zielknoten erhalt ebenfalls eine Menge von Eingangen. Ist 
der Funktionsablauf fehlerfrei, so liefert der Zielknoten das 
Ergebnis an die Uberwachungseinrichtung. Parallele Pfade 
im Grapfen stellen den parallclen Ablauf des Programms 30 
dar, sequentielle Pfade stellen den seriellen Ablauf des Pro- 
gramms dar. 

Die Berechnung der SteuergroBen im Mikrorechner er- 
folgt ebenfalls gemaB eines solchen Graphen. Der zur Be- 
rechnung der SteuergroBen verwendete Grapf hat die glei- 35 
che Struktur, das heist er besitzt die gleiche Knoten und 
Kanten mit gleicher Anordnung. Die Berechnung des Erge- 
bisses erfolgt gemaB anderen Funktionen. Jeder Funktion 
zur Berechnung der SteuergroBe ist eine Priiffunktion zuge- 
ordnet die wahrend, vor oder nach der Steuerfunktion abge- 40 
arbeitet wird. Bei geeigneter Wahl der einzelnen Priiffunk- 
tionen Fl, F2, . . . F6 kann auch ein Ausfall einer Teilfunk- 
tion des Mikrorechners zuverlassig erkannt werden. In der 
Oberwachungseinrichtung erfolgt die Berechnung des Er- 
gebnisses ebenfalls mit diesem Graph und der Pruffunktio- 45 
nen. Wenn der Mikrorechner korrekt arbeitet stimmen diese 
beiden Ergebnisse Uberein. 

Der Mikrorechner 1 und die "Oberwachungseinrichtung 2 
konnen auf verschiedene Arten miteinander verbunden sein. 
Drei verschiedene Mogiichkeiten der Kopplung der Ober- 50 
wachungseinrichtung und des Mikrorechners sind in Fig. 6 
dargestellt. 

Die verschiedenen Komponenten wie ein Speicherbau- 
stein 50, ein Gate-Array 40 und der Mikrorechner 1 sind 
iiber einen Daten-/Adressbus untereinander verbunden. Bei 55 
dem Gate- Array handelt es sich um einen integriertes eiek- 
tronischen Schaltkreis mit dem sich verschiedene logische 
Schaltungen realisieren lassen. Das Gate-Array wird vor- 
zugsweise zu Adressdekodierung und zur reduntanten Si- 
gnalerfassung eingesetzt. Bei der Variante gemaB Fig. 6a ist 60 
die Oberwachungseinrichtung 2 iiber eine serielle Schnitt- 
stelle 45 direkt mit dem Mikrorechner gekoppclt Diese An- 
ordnung bietet den Vorteil, daB bei der Oberpriifung der Da- 
ten-/Adressbus nicht benutzt wird. 

Bei der Variante gemaB Fig. 6b ist die Oberwachungsein- 65 
richtung ebenfalls mit dem Daten-/Adressbus verbunden 
und tauscht iiber dicscn die Daten mit dem Mikrorechner 
aus. Hieraus ergibt sich der Vorteil, daB keine langsame mit 
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hohem Hardwareaufwand behaftete serielle Schnittstelle er- 
forderlich ist. Auch ist keine zusatzliche serielle Schnitt- 
stelle am Mikrorechner erforderlich. 

Bei einer weiteren Variante gemaB Fig. 6c bilden Gate- 
Array und Uberwachungseinrichtung 1 eine bauliche Ein- 
heit. Hieraus ergibt sich gegeniiber der Variante gemaB Fig. 
6b der zusatzliche Vorteil, daB die Ausfallrate reduziert 
wird, da die Zahl der Bauteile geringer ist. 

In Fig. 7 sind grob schematisch wesentliche Elemente der 
crfindungsgemaBen Einrichtung dargestellt. Wie in Fig. 7a 
dargestellt, steht der Mikrorechner iiber je eine Leitung mit 
der Oberwachungseinrichtung 2 der Notvorrichtung 93 in 
Verbindung. Die Oberwachungseinrichtung 2 ist mit zwei 
Leitungen mit einer Verknupfungseinrichtung 98 verbun- 
den, die iiber die Ausgangsleitung 7 das Stellwerk 94 mit der 
AusgangsgroBe beaufschlagt. 

Bei diesem Ausfuhrungsbeispiel ermitteln der Mikro- 
rechner und die Oberwachungseinrichtung zeitabhangig 
welcher Programmschritt vom Mikrorechner gerade abgear- 
beitet wird. Der Mikrorechner gibt die AusgangsgroBe an 
die Oberwachungseinrichtung, die diese direkt an die Ver- 
knupfungseinrichtung 98 weiterleitet Erkennt die Oberwa- 
chungseinrichtung 2, daB der Mikrorechner nicht korrekt ar- 
beitet, so gibt sie ein entsprechendes Signal, daB ein Fehler- 
zustand vorliegt an die Verknupfungseinrichtung 98 ab. 
Liegt dieser Signal vor, so werden NotfahrmaBnahmen ein- 
geleitet. Ober die Notvorrichtung kann der Mikrorechner 
unabhangig von den iibrigen Komponenten eine Abschal- 
tung der Brennkraftmaschine veranlassen. Die Notvorrich- 
tung unterbindet vorzugsweise die Kraftstoffzufuhr. 

Die Einrichtung gemaB Fig. 7b unterscheidet sich von der 
gemaB 7a darin, daB hier in die Ausgangsleitung 8 der Ober- 
wachungseinrichtung 2, die mogliche Fehlerzustande an die 
Verknupfungseinrichtung ubermittelt, eine Zahleinrichtung 
97 eingeschaltet ist Dieser Zahler 97 zahlt wie oft ein Feh- 
lerzustand auftritt. Die Zahleinrichtung gibt das Signal be- 
ziiglich des Fehlerzustandes erst dann weitei; wenn ein vor- 
gegebener Zahlerstand erreicht ist 

NotfahrmaBnahmen werden erst eingeieitet, wenn die 
Oberwachungseinrichtung mehrmals einen Fehlerzustand 
der ersten Einrichtung erkannt hat 

Die Ausfuhrungsform gemaB Fig. 7c unterscheidet sich 
von der Ausfuhrungsform gemaB Fig. 7b darin, daB der Zah- 
ler 97 in die Oberwachungseinrichtung integriert ist, und mit 
dieser eine bauliche Einheit bildet 

Ein weiteres Ausfuhrungsbeispiel sieht vor, daB der Mi- 
krorechner der Oberwachungseinrichtung in vordefinierten 
Zeitabstanden bestirnmte Daten zum Beispiel die aktuelle 
Stellung des Programmzahlers ubermittelt. Die Oberwa- 
chungseinrichtung iiberpriift, ob die Daten mit vorgegebe- 
nen Solldaten ubereinstimmen, und ob sie zum vorgegebe- 
nen Zeitpunkt vorliegen. 

Die Solldaten und die Zeitpunkte konnen in der Oberwa- 
chungseinrichtung entweder fest vorgegeben sein, oder 
wahrend einer sogenannten Grundinitialisierung von dem 
Mikrorechner vorbelegt werden. Des weiteren konnen er- 
eignisorientierte Aktionen uberwacht werden, wenn die 
Oberwachungseinrichtung Informationen zugefuhrt werden, 
die diese Ereignisse kennzeichnen, und der Zeitabstand auf 
das entsprechende Ereignis bezogen ist. Dies bedeutet, daB 
der Mikrorechner abhangig von einem Programinzahler be- 
stirnmte Funktionen ausubt Die Oberwachungseinrichtung 
uberpruft, ob der Mikrorechner zum richtigen Zeitpunkt die 
richtige Funktion abarbeitet und ob er die Funktion inner- 
halb einer vorgegebenen Zeit abgearbeitet ist. 

In einem Speicher 72 der Oberwachungseinrichtung ist 
wie in Fig. 8 dargestellt, eine Tfcbelle mit Solldaten und zu- 
gehorigen Zeitdauern abgelegt. Der Mikrorechner muB zu 
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dem im Speicher abgelegten Zeiipunkt uber die Datenver- 
bindung 54 Testdaten in die Uberwachungseinrichtung ein- 
schreiben. Die Soli- und Testdaten werden in einem Verglei- 
cher 21 miteinander verglichen. Ein Zeitgeber 22 uberwacht 
den Zcitpunkt des Aufirctens der Testdaten. Der Zeitgeber 5 
uberpriift, ob die Testdaten innerhalb eines bestimmten Zeit- 
raums auftreten. Treten die Daten friiher oder spater auf, so 
deutet dies auf einen Fehlerzustand hin. 

Stimmen die Testdaten nicht mit den Solldaten iiberein 
und/odcr wird die Zeitdauer uberschrittcn oder unterschrit- 10 
ten, so gibt die Uberwachungsschaltung 23 ein entsprechen- 
des Sicherheitssignal uber die Sicherheitsleitung 8 ab. Stim- 
men die Daten iiberein, so wird im Speicher der nachste 
Wert abgearbeitet. Der Speicher ist vorzugsweise als RAM- 
Speicher realisiert, der durch einen als Ringzahler aufgebau- 15 
ten Zahler 74 addressiert und beim Einschalten durch den 
Mikrorechner initialisiert wird. Legt man in den Speicher 
zum Beispiel die Programmzahlerstande des Mikrorechners 
an bestimmten Punkten eines Steuerprogramms sowie Ma- 
ximalwerte fur die zugehorigen Programmlaufzeiten zwi- 20 
schen diesen Punkten ab, so kann man durch die Uberwa- 
chungseinrichtung den Programmablauf kontrollieren. In 
diesem Fall ist in der linken Spalte die maximal erlaubt Re- 
chenzeit und in der rechten Spalte der entsprechende Pro- 
grammbefehl abgelegt. Entsprechcnd konnen auch ereignis- 25 
gesteuerte Ablaufe uberwacht werden. In diesem Fall wird 
uberpriift, ob nach einem bestimmten Ereignis innerhalb ei- 
ner vorgegeben Zeitdauer ein weiteres Ereignis auftritt. So 
muB zum Beispiel bei Auftreten eines Flankenwechsels des 
Drehzahlsignals innerhalb einer bestimmten Zeitdauer ein 30 
emeuter Flankenwechsel registriert werden. 

Ein weiteres Ausfuhrungsbeispiel sieht vor, daB beson- 
ders sicherheitsrelevanteEingangssignale, wie zum Beispiel 
das Drehzahlgebersignal im Mikrorechner und der Uberwa- 
chungseinrichtung parallel zugefiihrt und unabhangig von- 35 
einander erfaBt werden. Dem Mikrorechner und der Uber- 
wachungseinrichtung werden die Ausgangssignale eines 
oder mehrer Sensoren als erste Daten zugefiihrt. Die von 
dem Mikrorechner und der Ubemachungseinrichtung er- 
faBten Daten werden dann verglichen. Hierzu wird vorzugs- 40 
weise der von der Uberwachungseinrichtung erfaBte Wert 
dem Mikrorechner zugefuhrt und dort weiterverarbeitet. 

Eine weitere Verbesserung eines solchen Systems ergibt 
sich dadurch, daB nicht ein Sensor, sondem zwei Sensoren 
verwendet werden, wobei der eigentiiche Drehzahlgeber 45 
dem Mikrorechner und der Hilfsdrehzahlgeber der Uberwa- 
chungseinrichtung zugeordnet werden konnen. Dabei kann 
zusatzlich vorgesehen werden, daB die Oberwachungsein- 
richtung und/oder der Mikrorechner eine Grenzwertuberwa- 
chung vornirnmt und dabei das Vorliegen eines auBerhalb 50 
des/der Grenzwerte liegenden MeBwertes uberpriift. 

Zur Realisierung eines solchen Systems sei auf die Fig. 9 
verwiesen. Ober eine Leitung 61 stehen der Mikrorechner 1 
und die Uberwachungseinrichtung 2 mit einem nicht darge- 
stellten Sensor in Verbindung. Das Gebersignal geiangt je- 55 
weils zu einer Periodendauermessung und/oder Frequenz- 
messung 24 bzw. 25, die mit den Zeitbasen 3 bzw. 4 in Ver- 
bindung stehen. Die Oberwachungseinrichtung ist uber eine 
Leitung 51 mit dem Mikrorechner verbunden. Die Perioden- 
dauermessung 25 und die Leitung 51 fiihren zu einer Ver- 60 
gieichseinheit 26. Das Ausgangssignal der Vergleichseinheit 
26 geiangt zu einem Sperrglied 27. An dessen zwcitem Ein- 
gang die StellgroBe anliegt. 

Die Periodendauermessung 24 der Uberwachungseinrich- 
tung 2 gibt ihr Ausgangssignal uber die Leitung 51 an den 65 
Mikrorechner und an einen Grenzwertvergleicher 28. Dieser 
stent mit zwei Zwischenspeichem 29 und 30 in Verbindung. 
Diese stehen uber die Verbindung 54 mit dem Mikrorechner 
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in Kontakt 

Das Gebersignal geiangt iiber die Leitung 61 sowohl zum 
Mikrorechner als auch zu der Uberwachungseinrichtung. 
Dort werden sie je weils durch die Periodendauermessung 
und/oder Frequenzmessung 24 bzw. 25 mittels der Zeitbasen 
3 bzw. 4 erfaBt Das MeBergebnis der Uberwachungsein- 
richtung wird iiber die Verbindung 51 an den Mikrorechner 
iibertragen und in der Vergleichseinheit 26 mit dem MeBer- 
gebnis des Mikrorechners verglichen. Bei Nichtuberein- 
stimmung wird das sicherheitsrelevante Ausgangssignal 
uber das Sperrglied 27 gesperrt Innerhalb der Uberwa- 
chungseinheit wird das MeBergebnis der Periodendauermes- 
sung 24 in dem Grenzwertvergleicher 28 mit einem oberen 
Grenzwert MAX und einem unteren Grenzwert MIN vergli- 
chen. Liegt das MeBergebnis nicht innerhalb dieser Grenz- 
werte, so wird das sicherheitsrelevante Ausgangssignal iiber 
das Sicherheitssignal gesperrt Die Grenzwerte MAX bzw. 
MIN, die in den Zwischenspeichem 29 und 30 abgelegt 
sind, konnen vom Mikrorechner uber die Verbindung 54 be- 
liebig vorgegeben werden. 

Patentanspriiche 

1. System zur Steuerung eines Krafrfahrzeugs, mit ei- 
ner ersten Einrichtung zur Bestimmung von zur Steue- 
rung des Kraftfahrzeuges benotigter Steuerdaten, mit 
einer zweiten Einrichtung zur Uberwachung der ersten 
Einrichtung, wobei die erste Einrichtung ausgehend 
von ersten Daten zweite Daten gemaB einer Pruffunk- 
tion ermittelt und die zweite Einrichtung ausgehend 
von den ersten Daten dritte Daten gemaB der Priiffunk- 
tion ermittelt, wobei die erste und/oder die zweite Ein- 
richtung abhangig von dem Vergleich zwischen den 
zweiten Daten und den dritten Daten einen Fehlerzu- 
stand erkennt dadurch gekennzeichnet, daB die er- 
sten Daten durch den Wert eines Zahlers in der ersten 
oder in der zweiten Einrichtung definiert werden. 

2. System zur Steuerung eines Kraftfahrzeuges nach 
Anspruch 1, dadurch gekennzeichnet, daB die erste und 
die zweite Einrichtung ausgehend von den ersten Daten 
jeweils die zweiten und dritten Daten ermittelt, und daB 
die erste und/oder die zweite Einrichtung einen Fehler- 
zustand erkennt, wenn die zweiten und dritten Daten 
nicht ubereinsti mmen und/oder nicht zu einem vorge- 
gebenen Zeitpunkt zur Verfugung stehen. 

3. System zur Steuerung eines Kraftfahrzeuges nach 
einem der vorhergehenden Anspriiche, dadurch ge- 
kennzeichnet, daB die erste und/oder die zweite Ein- 
richtung jeweils den invertierten Wert der ersten Daten 
bildet 

4. System zur Steuerung eines Kraftfahrzeuges nach 
einem der vorhergehenden Anspriiche, dadurch ge- 
kennzeichnet, daB die erste Einrichtung von Zeit zu 
Zeit fehlerhafte zweite Daten vorgibt um die zweite 
Einrichtung zu uberprufen. 

5. System zur Steuerung eines Kraftfahrzeuges nach 
einem der vorhergehenden Anspriiche, dadurch ge- 
kennzeichnet, daB die erste Einrichtung zu vorgegebe- 
nen Zeitpunkten bestimmte Daten an die zweite Ein- 
richtung ubermittelt, und daB die zweite Einrichtung 
die Daten auf den richtigen Wert und den korrekten 
zeitiichen Abstand kontrolliert. 

6. System zur Steuerung eines Kraftfahrzeugs nach 
Anspruch 5, dadurch gekennzeichnet daB die ersten 
Daten die aktuelle Stellung des Programmzahlers ange- 
ben. 

7. System zur Steuerung eines Kraftfahrzeuges nach 
einem der vorhergehenden Anspriiche, dadurch ge- 
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kennzeichnet, daB die erste Einrichtung und die zweite 
Einrichtung mit einem Sensor zur Erfassung von si- 
cherheitsrelevanten Daten verbunden ist. 

8. System zur Steuerung eines Kraftfahrzeuges nach 
Anspruch 7, dadurch gekennzeichnet, daB wenigstens 5 
zwei Sensoren zur Erfassung von sicherheitsrelevanten 
Signalen vorgesehen sind, und daB die erste Einrich- 
tung und die zweite Einrichtung mit jeweils einem Sen- 
sor verbunden sind. 

9. System zur Steuerung eincs Kraftfahrzeuges nach to 
einem der Anspruche 7 oder 8, dadurch gekennzeich- 
net, daB einer der beiden Sensoren ein redundantes Si- 
gnal erfaBt. 

10. System zur Steuerung eines Kraftfahrzeuges nach 
wenigstens einem der Anspruche 7 bis 9, dadurch ge- 15 
kennzeichnet, daB die erste Einrichtung und/oder die 
zweite Einrichtung die Ausgangssignale der Sensoren 
erfassen und die erste Einrichtung und/oder die zweite 
Einrichtung die Signale der beiden Sensoren ver- 
glcicht, und bei einer Abweichung auf Fehler erkannt 20 
wird. 

1 1 . System zur Steuerung eines Kraftfahrzeuges nach 
wenigstens einem der Anspruche 7 bis 10, dadurch ge- 
kennzeichnet, daB die erste und/oder die zweite Ein- 
richtung die Signale der Sensoren dahingehend uber- 25 
wacht, ob sie in einem vorgegebenen Bereich liegen. 

12. System zur Steuerung eines Kraftfahrzeuges nach 
einem der vorhergehenden Anspruche, dadurch ge- 
kennzeichnet, daB die ersten Daten gemaB einer Zu- 
fallsauswahl vorgegeben werden. 30 

13. System zur Steuerung eines Kraftfahrzeuges nach 
Anspruch 12, dadurch gekennzeichnet, daB der Zahler- 
stand eines Zahlers ausgelesen wird, wenn die erste 
Einrichtung die zweiten Daten an die zweite Einrich- 
tung ubcrmittelt und daB dieser Zahlerstand als erste 35 
Daten verwendet werden. 

14. System zur Steuerung eines Kraftfahrzeuges nach 
einem der vorhergehenden Anspruche, dadurch ge- 
kennzeichnet, daB die erste und die zweite Einrichtung 
Ciber eine serielle Schnittstelle oder einen Daten- 40 
/Adressbus miteinander Daten austauschen. 

15. System zur Steuerung eines Kraftfahrzeuges nach 
einem der vorhergehenden Anspruche, dadurch ge- 
kennzeichnet, daB die zweite Einrichtung mit einem 
Gate-Array eine bauliche Einheit bildet. 45 

16. System zur Steuerung eines Kraftfahrzeuges nach 
einem der vorhergehenden Anspruche, dadurch ge- 
kennzeichnet, daB NotfahrmaBnahmen eingeleitet wer- 
den, wenn die zweite Einrichtung wenigstens einmal 
ein Fehlerzustand der ersten Einrichtung erkannt hat 50 

17. System zur Steuerung eines Kraftfahrzeuges nach 
Anspruch 16, dadurch gekennzeichnet, daB ZahlmiUel 
vorgesehen sind, die die Fehlerzustande der ersten Ein- 
richtung zahlen, und daB erst nach mehreren erkannten 
Fehlerzustanden NotfahrmaBnahmen eingeleitet wer- 55 
den. 
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